Websecurity - Веб безпека

У жовтні, 18.10.2017, через півтора місяці після виходу Google Chrome 61, вийшов Google Chrome 62.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлено 35 уразливості. З яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity і LibFuzzer. Що значно більше ніж в попередній версії.

• Выпуск web-браузера Chrome 62 (деталі)

В статті Бекдори у веб додатках я писав стосовно впровадження бекдорів у веб додатки. А в попередній статті я розповів про основні шляхи потрапляння бекдору у веб додатки та навів приклади випадків впровадження бекдору у веб додатки та в відкриті операційні системи.

Серед них був забекдорений Social Media Widget для WordPress. Цей випадок трапився в квітні 2013 року. Цього року атаки через включення бекдорів у плагіни для WP значно активізувалися.

В плагіні Display Widgets для WP, що має понад 200000 інсталяцій, виявили бекдор. Спочатку код для розміщення спаму на сайтах з плагіном виявили в липні 2017 року. Плагін кілька разів видаляли з каталогу WordPress, розробник “виправляв його” і випускав нову версію, що повертали в каталог, але через деякий час плагін знову починав поширювати спам. І в ньому знову знаходили бекдор. 8 вересня його остаточно заблокували в каталозі та зробили повернення на кодову базу 2.0.5, останню версію до продажу. Все це почалося саме після продажу плагіну новому власнику.

В плагіні Captcha для WP, що має 300000 інсталяцій, виявили бекдор. Цей плагін також був куплений тією самою людиною, що і Display Widgets, й новий власник, почекавши три місяці, додав у нього бекдор. Нова версія плагіна була розміщена в каталозі 4 грудня, а коли виявили бекдор, то її заблокували в каталозі та зробили повернення на стару кодову базу.

Схоже, що це новий тренд. Окрім взлому сайтів для розміщення бекдорів, у тому числі в коді движка чи плагінів, а також випуску “липових плагінів” з бекдором, тепер поширення набув метод купівлі популярних плагінів, щоб пізніше додати в них бекдор. В своїх статтях в 2012-2013 роках я наголошував на цьому.

У попередній статті я навів перелік програм для пошуку бекдорів, серед них є й плагіни для WordPress. Також нагадаю, що в грудні 2012 року я розробив приклад простого веб додатку з вбудованим бекдором - Backdoored Web Application. Він призначений для перевірки систем пошуку бекдорів. Ознайомтеся з моїм тестуванням сканерів бекдорів серед плагінів для WordPress. Раджу власникам сайтів, зокрема на WordPress, перевіряти їх такими сканерами.

28.01.2017

У грудні, 26.12.2016, я знайшов Brute Force та Cross-Site Request Forgery уразливості в TP-Link TL-WR841N і TL-WR841ND. Це Wireless Router і AP. Обидві модифікації даної моделі (в N антени незнімні, а в ND антени знімні) мають однакову прошивку.

Раніше я писав про уразливості в мережевих пристроях даної компанії, зокрема в TP-Link TL-WR941ND. Також писав про уразливості в D-Link DGS-3000-10TC.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

16.12.2017

Brute Force (WASC-11):

http://192.168.0.1

За замовчуванням доступ через Інтернет закритий, тому підбирати пароль можна лише по LAN. Але через CSRF атаку можна відкрити віддалений доступ.

Cross-Site Request Forgery (WASC-09):

В розділі “Remote Control”.

Заборонити доступ через Інтернет: http://192.168.0.1/YVNLOORCJBATZQDB/userRpm/ManageControlRpm.htm?port=80&ip=0.0.0.0&Save=1

Дозволити доступ через Інтернет: http://192.168.0.1/YVNLOORCJBATZQDB/userRpm/ManageControlRpm.htm?port=80&ip=255.255.255.255&Save=1

Для обходу захисту потрібно вказати заголовок Referer та шлях (YVNLOORCJBATZQDB), що змінюється кожного разу при вході в адмінку. Цей шлях можна дізнатися через витік інформації, соціальну інженерію чи XSS уразливості в адмінці. В старих версіях не було цього захисту.

Cross-Site Request Forgery (WASC-09):

Вибивання з адмінки через запит до сторінки http://192.168.0.1.

<img src=”http://192.168.0.1″>

Уразлива версія TP-Link TL-WR841N і TL-WR841ND, Firmware Version 3.16.9 Build 151216. Дана модель з іншими прошивками також повинна бути вразливою.

В даній добірці експлоіти в веб додатках:

• Cisco Firepower Threat Management Console 6.0.1 - Local File Inclusion (деталі)
• AVTECH IP Camera / NVR / DVR Devices - Multiple Vulnerabilities (деталі)
• RSA Enterprise Compromise Assessment Tool 4.1.0.1 - XML External Entity Injection (деталі)
• PCMan FTP Server 2.0.7 - ‘SITE CHMOD’ Remote Buffer Overflow (деталі)
• Acoem 01dB CUBE/DUO Smart Noise Monitor - Password Change (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WP Ultimate Exporter, Import Woocommerce, WP Ultimate Exporter, More Fields, GravityForms. Для котрих з’явилися експлоіти.

• WordPress WP Ultimate Exporter 1.0 Cross Site Scripting (деталі)
• WordPress Import Woocommerce 1.0.1 Cross Site Scripting (деталі)
• WordPress WP Ultimate Exporter 1.0 / 1.1 SQL Injection (деталі)
• WordPress More Fields 2.1 Cross Site Request Forgery (деталі)
• WordPress GravityForms 1.9.15.11 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У листопаді 23.11.2017 і 24.11.2017, вийшли PHP 7.0.26 і PHP 7.1.12. У версії 7.0.26 виправлено багато багів і уразливостей, у версії 7.1.12 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.0.x і 7.1.x.

У PHP 7.0.26 і 7.1.12 виправлено:

• Пошкодження пам’яті.
• Численні вибивання в різних функціях (DoS).
• Уразливості в ядрі та модулях.

По матеріалам http://www.php.net.

В даній добірці уразливості в веб додатках:

• HP Release Control, Disclosure of Privileged Information and Elevation of Privilege (деталі)
• CollabNet Subversion Edge missing brute force protection (деталі)
• CollabNet Subversion Edge insecure password change (деталі)
• CollabNet Subversion Edge tail local file inclusion (деталі)
• Dell SonicWall GMS v7.2.x - Persistent XSS Vulnerability (деталі)

В серпні відбувся новий масовий взлом сайтів на сервері Goodnet. Він тривав з 24.12.2013 по 04.12.2017. Третій масовий взлом сайтів на сервері Goodnet відбувся раніше.

Був взломаний сервер української компанії Goodnet. Взлом, що складався з одного масового дефейсу та кількох окремих дефейсів по одному або декількох сайтах, відбувся після масового взлому сайтів на сервері Ukrnames.

Всього було взломано 95 сайтів на сервері хостера Goodnet (91.203.144.46). Перелік сайтів можете подивитися на www.zone-h.org. Серед них українські державні сайти forum.adm-hrebinka.gov.ua, adm-hrebinka.gov.ua, info.adm-hrebinka.gov.ua, cloud.adm-hrebinka.gov.ua, osvita.adm-hrebinka.gov.ua.

З зазначених 95 сайтів 25 сайтів були взломані хакерами з Ashiyane Digital Security Team, 21 сайт хакером dr lamouchi, 5 сайтів хакерами з Yunkers Crew та по одному чи декілька іншими хакерами.

Під час взлому Ashiyane Digital Security Team було дефейснуто багато сайтів, тому немає сумнівів, що вони були взломані через взлом серверу хостінг провайдера. Стосовно інших, то враховуючи велику кількість окремих дефейсів по одному або декілька сайтів, всі вони явно були зроблені при взломах окремих сайтів.

У листопаді місяці Microsoft випустила нові патчі.

У листопадовому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло багато патчів, але починаючи з квітня бюлетені по безпеці не випускаються, тому їх кількість невідома. Компанія вказує лише назви продуктів та номера патчів, а не кількість і деталі бюлетенів (патчів). Вони закривають уразливості в програмних продуктах компанії.

Дані патчі стосуються поточних операційних систем компанії Microsoft - Windows 7, 2008, 2008 R2, 8.1, 2012, 2012 R2, RT 8.1, 10 та 2016. А також Microsoft Office, Internet Explorer і Edge, .NET Core і ASP.NET Core та Office Web Apps і SharePoint Server.

Також Microsoft випустила патч для уразливостей в Adobe Flash Player, що постачається з Windows.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, зокрема про DoS і DDoS атаки (статті з Вікіпедії):

• BlackNurse
• Distributed denial-of-service attacks on root nameservers
• 2016 Dyn cyberattack
• HTTP Flood
• NTP server misuse and abuse